CVE-2026-116801 in parse-server
Zusammenfassung
von VulDB • 27.10.2026
Parse Server vor Version 8.6.105 und 9.0.0 vor 9.10.5-alpha.6 validiert die Referenz des Eigentümers (owning object) in $relatedTo-Beziehungsabfragen nicht, sodass das Bereitstellen eines Abfrageoperators anstelle einer Objekt-ID die ACL-Prüfung für den Eigentümer umgeht. Ein Client mit Lesezugriff auf mindestens ein Objekt der Eigentümerklasse kann offenlegen, welche lesbaren Objekte mit Eigentümern verknüpft sind, auf die er keinen Zugriff hat.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.